Certificazione ISO 9001: quanto dura e come si rinnova

La risposta breve: la certificazione ISO 9001 dura tre anni. Dentro quel ciclo l'organismo di certificazione accreditato torna ogni anno per un audit di sorveglianza (primo e secondo anno) e, prima della scadenza, fa un audit di rinnovo, detto anche ricertificazione, che apre un nuovo triennio. Il certificato resta valido solo se sorveglianze e rinnovo vanno a buon fine. Dal 2026 c'è un vincolo in più: dal 30 settembre 2029 i certificati sulla ISO 9001:2015 non sono più validi.

Qui sotto vediamo l'iter dalla domanda al certificato, cosa succede anno per anno, come si calcola il rinnovo, come si verifica che un certificato sia valido, cosa cambia con la transizione alla ISO 9001:2026 e come arrivare preparati. Di costi qui non parliamo: li trovi nell'articolo su quanto costa la certificazione ISO 9001.

Quanto dura la certificazione ISO 9001

Il ciclo di certificazione è triennale. Lo dà per presupposto il documento obbligatorio che gli organismi accreditati usano per calcolare la durata degli audit, il Global ACI TECH-3-004, che ragiona sul ciclo iniziale di tre anni per fissare il tempo delle sorveglianze e del rinnovo. È la riedizione dell'IAF MD 5:2023: dal 1° gennaio 2026 l'IAF ha cessato l'attività e i suoi documenti obbligatori sono passati a Global ACI (Global Accreditation Cooperation Incorporated), che ha ripubblicato il testo con la nuova sigla, senza modifiche sostanziali, in applicazione dal 28 agosto 2026.

Tre anni non sono una validità incondizionata. Accredia, l'ente unico italiano di accreditamento, spiega che il certificato di sistema garantisce che l'organizzazione ha la capacità di svolgere certi processi in sedi specifiche nell'arco di validità della certificazione (pagina Organismi di certificazione dei sistemi di gestione). Quella capacità va dimostrata di nuovo a ogni audit, ed è per questo che il ciclo prevede una visita all'anno.

Le regole generali su programma di audit, sorveglianza e rinnovo stanno nella ISO/IEC 17021-1, la norma secondo cui Accredia accredita gli organismi che certificano sistemi di gestione; in Italia si aggiunge il regolamento Accredia RG-01-01.

L'iter: dalla domanda al certificato

Prima del triennio c'è la certificazione iniziale. I passaggi, dal lato dell'azienda:

1. Preparazione del sistema qualità. Analisi del contesto, processi, rischi e opportunità, informazioni documentate, audit interno e riesame della direzione. Puoi farla in casa o con un consulente: come sceglierlo lo spieghiamo nella guida alla consulenza ISO 9001.
2. Offerta dell'organismo. Il regolamento Accredia RG-01-01 (par. 2.2.1) chiede all'organismo di indicare nell'offerta i giorni uomo previsti per ogni fase: audit iniziale, prima sorveglianza, seconda sorveglianza e audit di ricertificazione, con i criteri usati per calcolarli. Quindi l'intero triennio è scritto fin dall'inizio.
3. Regole del rapporto. Lo stesso paragrafo chiede che i documenti con diritti e doveri del cliente e dell'organismo ti arrivino prima o al momento della firma della domanda. Sono il posto dove leggere in quali casi il certificato può essere sospeso o revocato.
4. Audit iniziale in due fasi. Lo Stage 1 verifica che il sistema sia pronto, lo Stage 2 ne valuta l'attuazione. Il TECH-3-004 tratta le due fasi insieme come audit di certificazione iniziale.
5. Decisione e certificato. Con l'esito positivo e le eventuali non conformità gestite, l'organismo decide e rilascia il certificato, con data di emissione e di scadenza. Da lì parte il triennio.

Cosa succede nei tre anni

Primo e secondo anno: le sorveglianze

Nel ciclo iniziale il TECH-3-004 (punto 5) fissa una proporzione: il tempo dedicato ogni anno alla sorveglianza è circa un terzo di quello dell'audit iniziale (Stage 1 più Stage 2), e difficilmente una sorveglianza dura meno di una giornata di audit. Non è un controllo completo del sistema: si lavora a campione e si guarda cosa è cambiato.

Due regole dello stesso punto contano per chi è certificato:

• a ogni sorveglianza l'organismo deve raccogliere i dati aggiornati dell'organizzazione sul sistema di gestione (addetti, sedi, attività);
• il tempo pianificato delle sorveglianze va riesaminato almeno a ogni sorveglianza e al rinnovo, tenendo conto dei cambiamenti e della maturità del sistema, e il riesame, con le eventuali modifiche, va registrato.

Le date precise le fissa il programma di audit dell'organismo secondo la ISO/IEC 17021-1: conviene metterle a calendario appena ricevuto il certificato e farci cadere prima audit interno e riesame della direzione. Come impostare l'audit interno lo trovi nella guida all'audit interno ISO 9001.

Terzo anno: il rinnovo

Il rinnovo non è una sorveglianza più lunga. Secondo il TECH-3-004 (punto 6) il tempo dell'audit di ricertificazione si calcola sui dati aggiornati dell'organizzazione e vale di norma circa due terzi del tempo che servirebbe per un audit iniziale fatto al momento del rinnovo, non due terzi dell'audit iniziale di tre anni prima. Se nel frattempo sono cresciuti gli addetti o le sedi, cresce anche il rinnovo.

Lo stesso punto chiede di tenere conto dell'esito del riesame delle prestazioni del sistema, che però non si conta nel tempo di audit: come è andato il ciclo pesa sul rinnovo. Anche qui, difficilmente un audit di ricertificazione dura meno di una giornata.

Il punto delicato è la data. Il regolamento Accredia RG-01-01 (par. 2.2.2) prevede che, se le attività di rinnovo non sono completate con successo entro la data di scadenza del certificato, l'organismo segua le disposizioni Accredia contenute nei regolamenti di accreditamento o in circolari specifiche, e cita come esempio la circolare DC n° 28/2016. In pratica: il rinnovo si pianifica con margine, in modo che audit, chiusura delle non conformità e decisione arrivino prima della scadenza, e i casi limite si chiariscono con l'organismo prima, non dopo.

Dal secondo ciclo in poi

Con il rinnovo riparte un triennio con lo stesso schema. Dal secondo ciclo il TECH-3-004 (punto 7) consente all'organismo di proporre un programma di sorveglianza e rinnovo personalizzato, con l'approvazione dell'ente di accreditamento. Se non lo fa, valgono le regole dei punti 5 e 6.

Come si verifica la validità di un certificato

Il certificato riporta data di emissione e di scadenza, ma la verifica affidabile è un'altra: le banche dati di Accredia permettono di cercare gli organismi accreditati e le certificazioni di sistema di gestione rilasciate sotto accreditamento. È il controllo da fare su un fornitore che dichiara la ISO 9001, ed è lo stesso che faranno i tuoi clienti su di te.

Un dettaglio che confonde spesso: dopo un cambio di organismo il certificato può riportare la data di prima certificazione, rilasciata da un altro ente. Il documento Global ACI TECH-3-002 (ex IAF MD 2:2023) lo consente indicando che fino a una certa data l'organizzazione era certificata da un altro organismo, e l'RG-01-01 chiede che la nota resti almeno fino al primo rinnovo.

Si può cambiare ente al rinnovo?

Sì, e non serve ricominciare da capo, a tre condizioni fissate dal documento Global ACI TECH-3-002, che riprende l'IAF MD 2:2023:

• si trasferiscono solo certificazioni coperte da accreditamento (punto 2.1.1): con un certificato non accreditato si riparte come cliente nuovo;
• si trasferiscono solo certificazioni valide, e una certificazione nota come sospesa non si accetta (punto 2.1.2);
• se il riesame pre-trasferimento non trova problemi, il ciclo prosegue da quello precedente e il nuovo organismo pianifica gli audit che restano (punto 2.3.4).

Se l'organismo di partenza è sospeso o ha perso l'accreditamento, l'RG-01-01 (par. 2.2.3) obbliga chi subentra a fare sempre una visita pre-trasferimento di almeno una giornata. Come confrontare gli organismi lo spieghiamo nell'articolo su come scegliere l'ente di certificazione.

Il rinnovo e la transizione alla ISO 9001:2026

La ISO 9001:2026 è uscita a settembre 2026 e sostituisce la ISO 9001:2015 comprensiva dell'emendamento 1 del 2024. Le regole della transizione stanno nel documento Global ACI TECH-3-TR del 4 settembre 2026, obbligatorio per gli enti di accreditamento firmatari dell'accordo di mutuo riconoscimento di Global ACI (MRA) e per gli organismi accreditati. Lo stesso documento stima in più di un milione i certificati ISO 9001 accreditati da portare sulla nuova edizione, e per questo fissa una transizione di tre anni.

Le date che toccano chi ha un certificato:

• 30 settembre 2027: entro questa data gli enti di accreditamento completano le decisioni sulla transizione degli organismi. Un organismo emette certificati accreditati sulla 2026 solo dopo quella decisione.
• 31 marzo 2028: da qui le certificazioni iniziali si fanno solo sulla 2026, e non si emettono più certificati nuovi sulla 2015.
• 30 settembre 2029: le certificazioni accreditate sulla 2015 non sono più valide. Il passaggio, compresa l'emissione del nuovo certificato, deve chiudersi prima.

L'audit di transizione si può fare insieme a una sorveglianza o al rinnovo, oppure con un audit speciale dedicato, e può richiedere tempo di audit aggiuntivo in base a quanto è cambiato il sistema. Per chi ha il rinnovo in calendario tra il 2027 e il 2029, farci coincidere la transizione è la scelta più semplice.

Attenzione al caso di chi non transita: il documento Global ACI (punto 6.4) consente all'organismo di continuare gli audit sulla 2015, ma la certificazione scade alla fine della transizione anche se il ciclo triennale in corso andrebbe oltre. In altre parole, un rinnovo sulla 2015 fatto nel 2028 non porta il certificato fino al 2031. Le novità della norma e cosa fare clausola per clausola sono nell'articolo sulla ISO 9001:2026; le disposizioni operative di Accredia vanno verificate con il tuo organismo.

A cosa serve tenere vivo il certificato

Una certificazione ISO 9001 attesta che un organismo indipendente ha verificato il sistema di gestione per la qualità e continua a verificarlo nel tempo. Serve a chi la chiede (clienti, capitolati, gare) come prova che i processi sono governati, e serve a chi la ottiene come ritmo di lavoro: almeno un controllo esterno all'anno obbliga a tenere aggiornati obiettivi, indicatori, audit interni e azioni correttive.

Vale anche il limite opposto, che Accredia scrive in chiaro: il certificato di sistema non garantisce la conformità legale dell'organizzazione, né che un prodotto o servizio sia conforme a uno standard. È una prova di metodo, non di compliance alle leggi.

Come arrivare preparati a sorveglianze e rinnovo

1. Leggi l'offerta per intero. Giorni uomo di prima sorveglianza, seconda sorveglianza e ricertificazione devono esserci già (RG-01-01, par. 2.2.1).
2. Metti le date a calendario dal primo giorno, con il rinnovo abbastanza prima della scadenza da lasciare tempo per chiudere eventuali non conformità.
3. Comunica i cambiamenti. Addetti, sedi, attività: l'organismo li chiede a ogni sorveglianza e ricalcola il rinnovo su quei dati.
4. Fai audit interno e riesame prima di ogni visita, non dopo: sono i requisiti che un auditor guarda per primi.
5. Chiudi le non conformità con evidenze, e tieni traccia delle azioni correttive lungo il ciclo: al rinnovo si guardano tre anni, non l'ultimo mese.
6. Pianifica la transizione alla 2026 sul primo audit utile dopo che il tuo organismo ha ricevuto la decisione dell'ente di accreditamento.

In sintesi

La certificazione ISO 9001 dura tre anni, con una sorveglianza all'anno e un rinnovo prima della scadenza che apre un nuovo ciclo. Le giornate di sorveglianza valgono circa un terzo dell'audit iniziale, il rinnovo circa due terzi di un audit iniziale ricalcolato sui dati di oggi. Il certificato si può portare a un altro organismo senza ripartire, se è accreditato e valido. E chi oggi è certificato sulla 2015 deve passare alla 2026 prima del 30 settembre 2029, meglio se insieme a un audit già in calendario.

Se vuoi impostare il ciclo in modo che sorveglianze, rinnovo e transizione non diventino tre progetti separati, trovi come lavoriamo nella pagina sulla certificazione ISO 9001.